iptables: como permitir tráfego interno genuíno enquanto bloqueia pacotes falsificados / falsos?

Question

Portanto, li que um ataque comum é falsificar pacotes de endereços IP internos do SRC, como 192.168.0.0/16 . Como posso me defender contra isso com o iptables, mas ao mesmo tempo permitir tráfego do roteador ou qualquer outra coisa essencial?

Se eu adicionasse apenas um -s 192.168.0.0/16 -j DROP à cadeia INPUT que também mataria o tráfego interno genuíno?

    

Answer 1

Uma resposta simples. Especifique a interface para regras ... não apenas o IP / portas de origem.

por exemplo

iptables -I INPUT -i eth0 -s 192.168.0.0/16 -j DROP
iptables -I FORWARD -i eth0 -s 192.168.0.0/16 -j DROP

(assumindo que eth0 é sua interface WAN)